@Sorokin_trip

Таки словил я этого зловреда, хотя порты закрыты.
Прошу помощи в удалении вируса и его следов (включая зашифрованные файлы). Систему не откатывал, но некоторые файлы пришлось в срочном порядке восстановить из бэкапа.
Вот что заметил - вирус отработал только на двух сетевых дисках, но у пользователей проблемы не заметил от слова совсем - личные файлы в порядке, другие общие папки не затронуты. Зашифрованной только оказалась служебная директория программы TradeX, при чем на удаленных объектах (в других подсетях) я даже не увидел, что файлы оказались зашифрованы. Такое вижу впервые, прям мистика для меня - сетевые диски подключаются с сервера и по идее проблема должна быть видна не только в центральной подсети, но и по ВПН.
В общем, архив с логами во вложении....

Вложения

CollectionLog-2017.10.02-10.47.zip (90.0 Кб, 3 просмотров)

0

@Sorokin_trip

Нашел зараженную машину, с которой пошло распространение. Порты для SMB закрыты (которые рекоммендовали закрыть, когда появился wannacry), поэтому в сеть не ушло (на сколько могу судить по текущей ситуации), но затронуло сетевые диски с прогруммой на сервере, о котором написано выше. Отсоединил машину от сети.
Создавать отдельную тему или выкладывать логи с зараженной машины прям сюда?

0

@Sandor

Здравствуйте!

Сервер заражен, будем лечить. Поэтому логи с другой машины выложите в отдельной теме.

Внимание! Рекомендации написаны специально для пользователя Sorokin_trip. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
______________________________________________________

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

1. Выполните скрипт в AVZ (Файл - Выполнить скрипт):
   
   
   Код

   begin
    TerminateProcessByName('c:\intel\web\microsoft\xstarter\services.exe');
    StopService('WindowsDefender');
    QuarantineFile('c:\intel\web\microsoft\xstarter\services.exe', '');
    QuarantineFile('C:\ProgramData\Microsoft\drm\smss.exe', '');
    DeleteFile('c:\intel\web\microsoft\xstarter\services.exe', '32');
    DeleteFile('C:\ProgramData\Microsoft\drm\smss.exe', '32');
    DeleteService('WindowsDefender');
    CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
   ExecuteSysClean;
   end.

   Пожалуйста, перезагрузите компьютер вручную.
   
   
   
   
2. Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью формы вверху этой темы или с помощью этой формы.
   К сообщению прикреплять файл quarantine.zip не нужно!
   
   
   
3. Подготовьте новый CollectionLog.

0

@Sorokin_trip

Файл карантина отправил, но перезагрузить сервер сейчас нет возможности. Перегружу после 13:00 по МСК, подготовлю логи и отправлю

0

@Sorokin_trip

Прикрепил

Вложения

CollectionLog-2017.10.02-17.56.zip (82.5 Кб, 2 просмотров)

0

@Sandor

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
(Если не помещаются, упакуйте).
Подробнее читайте в этом руководстве.


Постарайтесь найти пару - зашифрованный/не зашифрованный оригинал. Ищите такой на других устройствах, внешних носителях, резервных копиях и т.д.
Упакуйте вместе с запиской с требованием выкупа и прикрепите к следующему сообщению.

0

@Sorokin_trip

Сделано

Вложения

	Crypt.zip (172.2 Кб, 2 просмотров)
	FRST.zip (35.6 Кб, 2 просмотров)

0

@Sandor

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Код

  Start::
  CreateRestorePoint:
  IFEO\sethc.exe: [Debugger] seth.exe
  GroupPolicy: Restriction <==== ATTENTION
  S2 xStarter; "C:\Intel\Web\Microsoft\xStarter\services.exe" /startedbyscm:2020FC88-40E2E8D8-srvXStarter [X] <==== ATTENTION
  Task: {DDBBEBC4-66D7-4A17-BC17-E28BF59EF526} - System32\Tasks\GoogleUpdateTaskMashine => C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe [] (Webisida.com) <==== ATTENTION
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Перезагрузите компьютер вручную.

Добавлено через 4 минуты
Проверьте ЛС.

0

@Sorokin_trip

Готово

Вложения

Fixlog.txt (1.8 Кб, 2 просмотров)

0

@Sandor

и здесь сообщите результат.

0

@Sorokin_trip

Декриптор работает - файлы успешно расшифровываются

0

@Sandor

Проверьте уязвимые места:
Выполните скрипт в AVZ при наличии доступа в интернет:

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

0

@Sorokin_trip

Файлы расшифрованы, скрипт отработал - найдено две уязвимости в офисе,к оторые позволяли удаленно выполнять код. Установил обновления - уязвимости пофиксились.
Завтра принесу модем и соберу логи с машины, с которой эта дрянь полезла.
Спасибо вам огромное!!!

0

@Sandor

Рекомендации после удаления вредоносного ПО

0

@Sorokin_trip

Еще раз спасибо!

0